Protección de las personas que informen sobre infracciones normativas y lucha contra la corrupción

En el BOE del 21-2-2023 se ha publicado la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

La norma, que entra en vigor el 13-3-2023, garantiza la protección efectiva de quienes comuniquen las mismas transpone la Dir (UE) 2019/1937 conocida como «whistleblowers», cumpliendo con los objetivos del Gobierno en la lucha integral contra la corrupción.

Los ejes fundamentales de la misma se resumen en:

1. La finalidad de la misma es la protección «eficaz y efectiva» por parte de la Administración de aquellas personas que, tanto en el seno de organizaciones públicas como privadas, comuniquen informaciones relativas a infracciones del derecho de la Unión y derecho nacional. Cuando la información revele la posibilidad de que se haya cometido un delito, deberá comunicarse inmediatamente a la Fiscalía.

2. En lo que respecta a su ámbito de aplicación, además de proteger a quienes informen sobre las infracciones del Derecho de la Unión, esta ley abarca también las infracciones penales y administrativas graves y muy graves de nuestro ordenamiento jurídico.

3. La ley contiene el régimen jurídico del sistema interno de información que abarca, tanto el canal, entendido como buzón o cauce para recepción de la información, como el responsable del sistema y el procedimiento. El sistema interno de información debería utilizarse de manera preferente para canalizar la información. Ha de destacarse que se permite la posibilidad de presentación y tramitación de comunicaciones anónimas.

Se establece la obligación de permitir comunicaciones por escrito o verbalmente. La habilitación de los dos modos (verbal y escrito) se articula como una posibilidad, no como una obligación, siendo la obligación en sí el establecimiento de uno de los dos modos de presentación de denuncias.

4. En el ámbito privado, estarán obligadas a configurar un sistema interno de información todas aquellas empresas que tengan más de 50 trabajadores. Las que cuenten con menos de 250, puedan compartir medios y recursos para la gestión de las informaciones que reciban. No obstante, con independencia del número de empleados, se obliga a contar con un sistema interno de información a todos los partidos políticos, sindicatos, organizaciones empresariales, así como a las fundaciones que de los mismos dependan, siempre que reciban fondos públicos para su financiación.

Con relación al sector público, han de contar con un sistema interno de información las Administraciones públicas, ya sean territoriales o institucionales, las autoridades independientes u otros organismos que gestionan los servicios de la Seguridad Social, las universidades, las sociedades y fundaciones pertenecientes al sector público, así como las corporaciones de Derecho público. De igual forma, todos los municipios de más de 10.000 habitantes tienen obligación de contar con un sistema interno de información, si bien, aquellos cuya población no supere esta cifra, pueden compartir medios para la recepción de informaciones con otras Administraciones que ejerzan sus competencias en la misma comunidad autónoma.

Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un sistema interno de información deberán implantarlo en el plazo máximo de 3 meses a partir de la entrada en vigor de esta ley.

Como excepción, en el caso de las entidades jurídicas del sector privado con 249 trabajadores o menos, así como de los municipios de menos de 10.000 habitantes, el plazo indicado se extenderá hasta el 1 de diciembre de 2023.

5. Respecto del procedimiento de recepción de las comunicaciones, que pueden llevarse a cabo de forma anónima o con reserva de la identidad del informante, y de su forma, escrita o verbal, las denuncias podrán ser efectuadas a través de una autoridad administrativa independiente, de nueva creación, o a través de los canales internos de cada organización.

El plazo máximo para realizar las investigaciones necesarias y responder al informante será de 3 meses, con posibilidad de prórroga si la complejidad del asunto así lo requiere. La resolución que adopte la Autoridad Independiente de Protección del Informante (A.A.I.) no podrá ser objeto de recurso alguno, ni administrativo ni jurisdiccional, sin perjuicio de la posible impugnación de la resolución que ponga fin al procedimiento sancionador.

6. Se regula la obligación de proporcionar información adecuada de forma clara y fácilmente accesible sobre los canales de comunicación interna y externa, como medio y garantía para un mejor conocimiento de los canales que establece esta ley.

7. Los informantes que utilizan los cauces internos y externos para revelar información pública cuentan con un régimen específico de protección frente a las represalias. Se precisan las condiciones que deben concurrir para extender el régimen de protección; por ejemplo, cuando los cauces internos y externos no han funcionado o cuando se advierte una amenaza inminente para el interés general.

8. El tratamiento de datos personales se entenderá necesario para el cumplimiento de una obligación legal cuando deba llevarse a cabo en los supuestos en que sea obligatorio disponer de un sistema interno de información, y en los casos de canales de comunicación externos, mientras que se presumirá válido cuando aquel sistema no sea obligatorio o el tratamiento se lleve a cabo en el ámbito de la revelación pública. En caso de que la persona investigada ejerza el derecho de oposición al tratamiento de sus datos personales, se entiende que existen motivos que legitiman continuar con dicho tratamiento. La ley también regula determinadas condiciones especiales en relación con los tratamientos de datos al objeto de garantizar plenamente el derecho a la protección de datos y en particular la identidad de los informantes y de las personas investigadas por la información suministrada. La preservación de la identidad del informante es una de las premisas esenciales para garantizar la efectividad de la protección que persigue esta ley.

La autoridad independiente de protección del informante, A.A.I., y las autoridades independientes que en su caso se constituyan, deberán nombrar un delegado de protección de datos.

9. Se establecen medidas de protección para amparar a aquellas personas que mantienen una actitud cívica y de respeto democrático al alertar sobre infracciones graves que dañan el interés general. Estas medidas no se dirigen solo a favor de los informantes, sino también a aquellas personas a las que se refieran los hechos relatados en la comunicación, ante el riesgo de que la información haya sido manipulada o falseada.

10. La Autoridad Independiente de Protección del Informante es una autoridad administrativa independiente, con personalidad jurídica propia, plena capacidad de actuar de manera pública como privada, con potestad administrativa, consultiva y sancionadora. Pese a ello, debe rendir cuentas anualmente de su gestión tanto en el Congreso de los Diputados como en el Senado, ante las comisiones sobre protección de los informantes que se formen en estas cámaras. Así mismo, también está sujeta al régimen jurídico de la L 40/2015, de régimen jurídico del sector público.

Se configura también como el canal de denuncias externo al que pueden acudir los denunciantes de corrupción (informantes), para denunciar un delito o delitos que se estén produciendo dentro de su organización (sea esta una empresa, un partido político, una entidad pública, etc.), siempre que la infracción o delito denunciado afecte o produzca efectos en el ámbito territorial de más de una comunidad autónoma.

11. Régimen sancionador Con la finalidad de establecer garantías contra informaciones falsas que pueden generar un grave daño a personas, instituciones públicas o empresas, se sancionará la comunicación o revelación pública de información a sabiendas de su falsedad. El régimen sancionador contempla, desde amonestaciones públicas, la prohibición de obtener subvenciones o de contratar con la Administración Pública, hasta multas que podrán ir de 1.001 a 300.000 euros en el caso de personas físicas y de 10.001 a 1.000.000 de euros en el caso de las jurídicas.